事故から学ぶ

都立墨東病院の受託会社による患者情報の誤送信について 東京都 株式会社セノー

事故概要

業種 東京都 地方自治体
発生時期 2020/04/6
漏えい人数 5人
事故概要

この度、墨東病院から「IAレポートシステム保守点検委託」を受託している株式会社セノー(所在地 東京都立川市柴崎町2-2-16、以下「受託会社」という)が、患者の氏名等が記載された資料を誤ったメールアドレスに送信したことにより、患者情報(5名分)を誤送信する事故が発生しました。
1 誤送信した患者情報
死亡例報告システム(以下「同システム」という)の画面のスクリーンショット【注】5名分
【注】患者ID、氏名、年齢、性別、死亡年月日時が記載。ただし、うち1名は氏名の記載なし。
2 誤送信の状況
(1) 誤送信の時期
2020年4月3日
(2) 経緯
受託会社の従業員Aが、同システムの導入を検討している他病院を訪問し、当該病院の担当者と打合せを行っていた。打合せ中、従業員Aは、同システムの説明に用いるため、会社に待機していた従業員Bに対して、従業員Aの個人のメールアドレスに画面イメージのデータファイルを送信するよう指示した。(スマートフォンで画面イメージを見せて説明することを意図していた。)

従業員Bが同システムの画面をスクリーンショットで画像化し、Eメールで送信した。画像化した画面には、患者情報(患者ID、氏名、年齢、性別、死亡年月日時)が表示されていたが、Eメール送信時にマスキング、暗号化等の措置は行っていなかった。また、患者情報を含んだ画面イメージを第三者に提供することについて、当院の許可を得ていなかった。
従業員Aは、自身の個人メールアドレスにEメールが届かないため、従業員Bに電話確認を行ったところ、従業員Bが入力したメールアドレスに誤りがあることが判明し、Eメールの誤送信が発覚した。
誤送信先のメールアドレスへ「誤送信であり削除をお願いしたい。」旨のEメールを送信したが現在まで、誤送信先からの連絡はない。
対象者5名の関係者に電話又は訪問。4名とは連絡が取れ、説明と謝罪を行った。
※残り1名の関係者については、連絡先として住所のみ判明しており、その住所に記載された建物は既に存在しておらず、連絡ができなかった。
現在まで、二次被害については確認されていない。

3 再発防止と今後の対応
受託会社に対して、患者情報の目的外利用の禁止、安全管理措置の徹底等について、厳重注意を行い、個人情報保護に必要な措置を至急講じるよう指示した。
患者情報を取扱う他の委託事業者に、患者情報の管理の方法、送付するときの対応などを聞き取り、必要に応じて指導を行う。
病院経営本部では、2020年4月6日(月曜日)、全ての都立病院に対し、個人情報管理及び受託事業者の適切な監督について、さらなる徹底を図るよう指示した。

引用元 東京都

■ 事故原因

事故の原因はチェックリストの下記項目が該当すると推察します。

チェックリストコード:
(第20条)安全管理措置 パソコン利用教育(メール送信・添付ファイル送信ルール)

チェックリストにある要求ルール:

重要電子メールを送る前には、送信アドレスを再確認していますか?自分以外の人にも確認をしてもらっていますか?
複数の相手先への送信時はTOではなくBCCを使用していますか?

■ 推奨対策

対策:

作業手順書、マニュアル、管理体制、監査体制の強化が必要である。
メール作成送信手順書の徹底と、送信前のダブルチェックを徹底させること(2名以上の相手先に対し、Toでメールを送ると個人情報漏えいに結びつくことをしつこく徹底的に教え込むこと)
導入済みのメール誤送信抑止システム(送信先が本市以外である送信メールについて、その配信を一時保留し、Web画面操作により内容を再度確認し、その上で保留を解除する作業を行うことによりメールが改めて送信できる仕組み)で、何を確認するのか、どういう条件なら送信して良いのかを口頭試験も含めて徹底教育すること。

具体例:

個人情報の適正な取扱い及び電子メールの適切な利用に対する徹底教育を行うこと。まずは2名以上の相手先に対し、Toでメールを送ると個人情報漏えいに結びつくことをしつこく徹底的に教え込むことである。
さらにメール送信時等における個人情報の取扱い(本文に個人情報を書かない、個人情報が入ったファイルを添付するときは暗号化する等)に関する研修を行い、ダブルチェックによる送信先の確認をする運用体制を作ること。
ダブルチェックで見逃した場合は、ダブルチェックをした者も同罪になることを強く認識させること。
導入済みのメール誤送信抑止システムにおける再確認する意味を強く認識させること。

ご入会のお手続きはこちら

会費のお支払い方法は、クレジットカード払いと口座振替の2種類お選びいただけます。 (会費のお支払方法により、入会手続きが異なります。) 詳しくは、「ご入会の流れについて」をご確認ください。